这是一个易于使用的 ECC（椭圆曲线加密）实现，支持 ECDSA（椭圆曲线数字签名算法）、EdDSA（爱德华兹曲线数字签名算法）和 ECDH（椭圆曲线 Diffie-Hellman），纯粹在Python，在 MIT 许可下发布。使用此库，您可以快速创建密钥对（签名密钥和验证密钥）、签署消息并验证签名。您还可以根据交换的公钥就共享密钥达成一致。密钥和签名非常短，使其易于处理和合并到其他协议中。

注意：此库不应在生产设置中使用，有关详细信息，请参阅安全性。

该库为五个流行的 NIST“Suite B”GF(p)（素数字段）曲线提供密钥生成、签名、验证和共享秘密推导，密钥长度为 192、224、256、384 和 521 位。正如 OpenSSL 工具 ( ) 所知，这些曲线的“简称”openssl ecparam -list_curves是：prime192v1、 secp224r1、prime256v1、secp384r1和secp521r1。它包括比特币使用的 256 位曲线secp256k1。还支持从 160 到 512 位的 Brainpool 曲线的常规（非扭曲）变体。这些曲线的“简称”是：brainpoolP160r1, brainpoolP192r1, brainpoolP224r1, brainpoolP256r1, brainpoolP320r1, brainpoolP384r1, brainpoolP512r1. SEC 标准中的一些小曲线也包括在内（主要是为了加速库的测试），它们是： secp112r1, secp112r2,secp128r1, 和secp160r1. Ed25519 和 Ed448 曲线也支持密钥生成、签名和验证。不包括其他曲线，但在素数场上添加对更多曲线的支持并不难。

该库仅使用 Python 和“六”包。它与 Python 2.6、2.7 和 3.3+ 兼容。它还支持在 pypy 和 pypy3 等替代实现上执行。

如果安装了gmpy2or gmpy，它们将用于更快的算术运算。安装此库后可以安装它们中的任何一个， python-ecdsa将在启动时检测它们的存在并自动使用它们。您应该更喜欢gmpy2Python3 以获得最佳性能。

要运行 OpenSSL 兼容性测试，“openssl”工具必须在您的 PATH. 此版本已针对 OpenSSL 0.9.8o、1.0.0a、1.0.2f、1.1.1d 和 3.0.1（以及其他）成功测试。

该库在 PyPI 上可用，建议使用以下方式安装它pip：

如果需要更高的性能并且使用本机代码不是问题，可以指定安装gmpy2：

或（较慢，遗留选项）：

下表显示了该库生成密钥对keygen（. 所有这些值都以秒为单位。为方便起见，还提供了这些值的倒数：每秒可以生成多少密钥（ ），每秒可以生成多少签名（），每秒可以验证多少签名（），可以共享多少秘密每秒导出 ( )，以及每秒可以验证多少个没有特定密钥预计算的签名 (signverifyecdhno PC verifykeygen/ssign/sverify/secdh/sno PC verify/s）。列中还提供了原始签名的大小（通常是签名可以编码的最小方式）siglen。用于tox -e speed在您自己的计算机上生成此表。在 Intel Core i7 4790K @ 4.0GHz 上，我得到以下性能：

要测试gmpy2加载时的性能，请使用tox -e speedgmpy2. 在同一台机器上，我得到以下性能gmpy2：

（还有gmpy版本，使用执行它tox -e speedgmpy）

作为比较，高度优化的实现（包括某些曲线的曲线特定组合），如 OpenSSL 1.1.1d 中的实现，在同一台机器上提供以下性能数字。运行openssl speed ecdsa并openssl speed ecdh重现它：

密钥和签名可以以不同的方式进行序列化（参见下面的用法）。对于 NIST192p 密钥，三种基本表示需要以下长度的字符串（以字节为单位）：

2006 年，Peter Pearson 在 给 sci.crypt 的消息中宣布了他对 ECDSA 的纯 python 实现，可从他的下载站点获得。2010 年，Brian Warner 围绕此代码编写了一个包装器，以使其更易于使用且更安全。在 2020 年，Hubert Kario 包括了一个椭圆曲线密码学的实现，它在内部使用雅可比坐标，将性能提高了大约 20 倍。您正在查看此包装器的自述文件。

要运行完整的测试套件，请执行以下操作：

在 Intel Core i7 4790K @ 4.0GHz 上，执行测试大约需要 18 秒。测试套件使用 hypothesis，因此测试套件执行时间存在一些固有的可变性。

通过运行“openssl”CLI 工具来检查与 OpenSSL 的兼容性的一部分，test_pyecdsa.py如果您想测试与它的兼容性（如果 OpenSSL 丢失、太旧或不支持上游版本，您将在上述运行中看到跳过的测试）。test_ecdh.pyPATHcoverage

这个库的设计没有考虑到安全性。如果您正在处理需要保护的数据，我们建议您使用 OpenSSL 周围的质量包装器。pyca/cryptography就是这种包装器的一个例子。该库的主要用例是作为互操作性测试的可移植库和教学工具。

该库不能防止侧信道攻击。

不要让攻击者测量您生成密钥对或签署消息所需的时间。当密钥对生成或签名发生时，不允许攻击者在同一台物理机上运行代码（这包括虚拟机）。不要让攻击者在生成密钥对或签署消息时测量您的计算机使用了多少电量。不要让攻击者在生成密钥对或签署消息时测量来自您计算机的射频干扰。注意：仅加载私钥会导致密钥对生成。其他操作或攻击向量也可能容易受到攻击。对于一个老练的攻击者来说，只用私钥观察一个操作就足以完全重建私钥。

另请注意，任何 Pure-python 密码库都容易受到相同的侧信道攻击。这是因为 Python 不提供边信道安全原语（除了 hmac.compare_digest()），使得边信道安全编程成为不可能。

这个库依赖于一个强大的随机数来源。不要在os.urandom()不提供加密安全随机数的系统上使用它。

您首先创建一个SigningKey. 您可以使用它对数据进行签名，方法是将数据作为字节字符串传入并取回签名（也是字节字符串）。你也可以要求aSigningKey给你相应的VerifyingKey。可VerifyingKey用于验证签名，通过将数据字符串和签名字节字符串传递给它：它返回 True 或 raises BadSignatureError。

每个SigningKey/VerifyingKey都与一条特定曲线相关联，例如 NIST192p（默认曲线）。更长的曲线更安全，但使用时间更长，并导致更长的密钥和签名。

SigningKey可以序列化为几种不同的格式：最短的是调用，s=sk.to_string()然后用 重新创建它 SigningKey.from_string(s, curve)。这种简短的形式不记录曲线，因此您必须确保传递到from_string()用于原始密钥的同一曲线。基于 NIST192p 的签名密钥的简短形式只有 24 个字节长。如果点编码无效或不在指定曲线上，from_string()将引发MalformedPointError.

注意：虽然方法被称为to_string()它们返回的类型实际上是bytes，但“字符串”部分是 Python 2 遗留下来的。

sk.to_pem()并将sk.to_der()签名密钥序列化为 OpenSSL 使用的相同格式。PEM 文件看起来像熟悉的 ASCII 装甲 "-----BEGIN EC PRIVATE KEY-----"base64 编码格式，而 DER 格式是相同数据的较短二进制形式。 SigningKey.from_pem()/.from_der()将撤消此序列化。这些格式包括曲线名称，因此您不需要将曲线标识符传递给解串器。万一文件格式错误from_der() 并且from_pem()会引发UnexpectedDER或 MalformedPointError.

同样，VerifyingKey可以以相同的方式序列化： vk.to_string()/VerifyingKey.from_string()、to_pem()/from_pem()和 to_der()/from_der(). 需要相同的curve=参数 VerifyingKey.from_string()。

有几种不同的方法来计算签名。从根本上说，ECDSA 接受一个代表被签名数据的数字，并返回一对代表签名的数字。and的hashfunc=参数 用于将任意字符串转换为固定长度的摘要，然后将其转换为 ECDSA 可以签名的数字，并且签名和验证都必须使用相同的方法。默认值为 ，但如果您使用 NIST256p 或更长的曲线，则可以 改为使用。sk.sign()vk.verify()hashlib.sha1hashlib.sha256

还有多种方式来表示签名。为了简单和最小的开销，默认值 sk.sign()和vk.verify()方法将其显示为一个短字符串。要使用不同的方案，请使用 sk.sign(sigencode=)andvk.verify(sigdecode=)参数。模块中有一些帮助函数在ecdsa.util这里很有用。

也可以SigningKey从确定性的“种子”创建一个。这可用于您希望从其他密钥派生一致签名密钥的协议中，例如，当您需要三个单独的密钥并且只想存储一个主密钥时。您应该从具有大约curve.baselen 字节熵的均匀分布的不可猜测种子开始，然后使用其中一个辅助函数ecdsa.util将其转换为正确范围内的整数，然后最后将其传递给SigningKey.from_secret_exponent()，如下所示：

如果应用程序将验证使用单个密钥生成的大量签名，则可以预先计算一些内部值以显着加快签名验证速度。收支平衡点出现在大约 100 个已验证的签名处。

要执行预计算，您可以在实例上调用该precompute()方法：VerifyingKey

一旦precompute()被调用，所有使用此密钥的签名验证将更快地执行。

要生成可由 OpenSSL 工具验证的签名，或验证由这些工具生成的签名，请使用：

注意：如果需要兼容 OpenSSL 1.0.0 或更早版本， 可以使用sigencode_stringand sigdecode_stringfrom分别写入和读取签名。ecdsa.util

密钥也可以以 openssl 可以处理的格式编写：

创建签名密钥SigningKey.generate()需要某种形式的熵（与 from_secret_exponent/ from_string/ from_der/from_pem不同，后者是确定性的，不需要熵源）。默认源是os.urandom()，但您可以传递任何其他行为类似于参数os.urandom的entropy=函数来执行不同的操作。这在您希望获得可重复结果的单元测试中可能很有用。该 ecdsa.util.PRNG实用程序在这里很方便：它需要一个种子并从中产生一个强大的伪随机流：

同样，ECDSA 签名生成需要一个随机数，并且每个签名必须使用不同的数字（使用相同的数字两次将立即泄露私有签名密钥）。该sk.sign()方法接受一个 entropy=行为相同的参数SigningKey.generate(entropy=)。

如果您调用SigningKey.sign_deterministic(data)而不是.sign(data)，代码将生成确定性签名而不是随机签名。这使用 RFC6979 中的算法安全地生成一个唯一k值，该值源自私钥和正在签名的消息。每次您使用相同的密钥签署相同的消息时，您将获得相同的签名（使用相同的k）。

这可能会成为未来版本的默认设置，因为它不易受到熵源故障的影响。

创建 NIST192p 密钥对并立即将两者保存到磁盘：

从磁盘加载签名密钥，使用它对消息进行签名（使用 SHA-1），然后将签名写入磁盘：

从磁盘加载验证密钥、消息和签名，并验证签名（假设 SHA-1 哈希）：

创建 NIST521p 密钥对：

从主种子创建三个独立的签名密钥：

从磁盘加载验证密钥并使用未压缩和压缩格式（在 X9.62 和 SEC1 标准中定义）的十六进制编码打印它：

从压缩格式的十六进制字符串加载验证密钥，输出未压缩：

与远程方的 ECDH 密钥交换：